Was ist NAT? Heimrouter und Portweiterleitung

NAT (Network Address Translation) ändert die Adressen von Paketen an einer Netzwerkgrenze. Im Heimnetz sorgt der Router meist dafür, dass mehrere IPv4-Geräte mit privaten Adressen gemeinsam eine externe IPv4-Adresse nutzen. Häufig ändert er dabei auch die Portnummern, um mehrere gleichzeitige Verbindungen auseinanderzuhalten.

Eine ausgehende Anfrage verfolgen

Stellen Sie sich einen Laptop mit der Adresse 192.168.1.20 vor, der über seinen Router eine Website öffnet. Der Router legt eine Zuordnung zwischen interner Adresse und Port des Laptops und seiner eigenen externen Adresse samt gewähltem Port an. Die Website sieht die externe Adresse und antwortet an sie. Anhand der Zuordnung leitet der Router die Antwort an den richtigen Laptop weiter, selbst wenn gleichzeitig ein Smartphone dieselbe Website aufgerufen hat. Das ist ein vereinfachtes Beispiel für die übliche Adress- und Portumsetzung; das genaue Verhalten hängt vom Router ab. RFC 3022 beschreibt das grundlegende NAT-Modell.

Warum eine eingehende Verbindung scheitern kann

Für eine unaufgeforderte Anfrage von außen gibt es keinen passenden Eintrag, den eine ausgehende Verbindung angelegt hätte. Um einen Dienst bereitzustellen, kann ein Administrator eine Regel einrichten, die einen externen Port an ein lokales Gerät und einen Port weiterleitet. So könnte der externe TCP-Port 8443 auf eine bestimmte interne Webanwendung zeigen. Die Regel muss das richtige Transportprotokoll angeben: TCP- und UDP-Ports sind getrennt. Prüfen Sie vor dem Öffnen, ob der Dienst gepflegt wird, eine Authentifizierung verlangt und tatsächlich öffentlich erreichbar sein muss. Ein scheinbar offener Port beweist nicht, dass die Anwendung selbst korrekt arbeitet.

NAT ist keine Firewallrichtlinie

Die Adressumsetzung beschreibt, wie Adressen geändert und Antworten den Verbindungen zugeordnet werden. Die Firewallrichtlinie entscheidet, welcher Verkehr erlaubt ist. Ein Heimrouter vereint oft beide Funktionen, weshalb sie leicht verwechselt werden. Verlassen Sie sich nicht auf NAT als einzige Sicherheitsgrenze: Eine Weiterleitungsregel, eine automatische Portfreigabe oder ein Konfigurationsfehler können die Angriffsfläche verändern. Testen Sie nach der Einrichtung den tatsächlichen Dienst, nicht nur die Portnummer. Die Portprüfung von 2IP liefert ein Signal von außen, kann aber nicht bestätigen, dass ein Dienst eine starke Authentifizierung verwendet.

Eine nicht funktionierende Weiterleitung prüfen

Prüfen Sie zuerst die lokale Adresse des Servers und ob er aus demselben LAN antwortet. Kontrollieren Sie dann die Port- und Protokollregel im Router und die Firewall des Servers. Vergleichen Sie die externe Adresse des Routers mit der Adresse, die eine Website im Internet sieht. Sitzt davor ein weiterer Router oder das Carrier-Grade NAT des Providers, reicht die Regel im Heimrouter allein womöglich nicht aus. Schalten Sie für die Diagnose nicht die gesamte Firewall ab; sehen Sie sich stattdessen die betreffende Regel und die Protokolle der Anwendung an.